ZONE.CI 全球网

HexStrikeAI是基于MCP协议的安全工具平台，集成127个Kali工具，通过AIAgent自主调用Nmap、SQLMap等工具实现自动化渗透测试，解决工具调用摩擦问题。但该平台自身存在三个CVE漏洞，包括命令注入和未认证API端点，攻击者可利用其攻击运行服务器。建议用户避免将API端口暴露公网，及时更新版本，仅用于授权测试。

SolarWinds发布ObservabilitySelf-Hosted2026.2.3版本，修复CVE-2026-28324与CVE-2026-28325两个严重漏洞，均为未经身份验证的远程代码执行漏洞，CVSS评分分别高达9.8和8.8。漏洞源于非默认配置下完整性检查不足及不安全反序列化。建议管理员优先升级至2026.2.3版本，审查服务器暴露面，限制管理访问，监控异常活动，并注意旧版本已停止支持。

本文披露了一个因特殊文件名上传导致的群组文件功能拒绝服务漏洞。测试者通过将上传请求中filename参数修改为单个句点，使服务端存储异常文件名，导致群组文件列表页对所有成员崩溃，造成永久性拒绝服务。漏洞影响范围广且难以恢复，需重建群组解决。文章提供了详细测试流程与危害分析，强调合法授权前提。

Plugin4Shell是波及约26万台AI代理的零点击RCE供应链漏洞，影响ClaudeCode、Codex、Copilot及GeminiCLI四大AI编程工具，截至披露仅两家完成修复。攻击链利用插件预加载机制在LLM调用前执行恶意代码，可横向渗透至代码仓库与CI/CD环境。建议立即更新工具、限制插件来源、网络分段并重置暴露凭证。

苹果官方确认iPhone18Pro及ProMax存在FaceID面容识别相关严重系统漏洞，特定场景下设备会卡死并自动重启。客服称问题源于系统软件，与硬件无关，后续将通过系统版本更新修复。该系列9月18日发售，仅10天即被曝出此问题，建议用户关注官方更新。

TeamViewer被曝多个高危漏洞，最严重为CVE-2026-92370访问控制缺陷，影响Windows、Linux和macOS，可致远程代码执行及提权至SYSTEM或root。官方已发布15.82版修复，强烈建议用户尽快升级至最新版本以防范风险。

苹果CoreGraphics高危漏洞CVE-2026-86950首个PoC公开，攻击者可借恶意字体PDF致iPhone和Mac崩溃。漏洞源于坐标转换数值处理差异致缓冲区越界写入，苹果已紧急修复，CISA列入已知利用漏洞目录。当前PoC仅致崩溃，未实现代码执行，建议用户尽快更新系统补丁。

Google发布Gemini4Argon，可自主挖掘并修复高危漏洞，通过Fairwind项目向网络防御者推送。模型输出上限提升至百万token，在多项基准测试中领先，已发现医疗软件关键漏洞。采用分阶段发布策略，部署监控机制保障安全，并公布优惠定价方案。

该议题预告聚焦Android框架中Java-Kotlin并行实现引发的安全隐患，探讨如何结合程序分析与大语言模型精准识别跨语言并行实现，自动化检测语义差异暴露的漏洞，并分享工具Paradroid及本地提权攻击案例，为跨语言迁移安全防护提供参考。

16岁研究员Faav利用AI机器人Antares发现微软Titan平台存在身份验证漏洞，可访问约2.5万条员工数据及17.3万亿条记录，获5000美元赏金。漏洞源于JWT签名验证缺失，可伪造令牌执行SQL查询。建议企业加强API身份验证与JWT令牌签名校验，并重视AI辅助漏洞挖掘。

ApacheSuperset6.0.0之前版本存在SQL注入漏洞CVE-2026-23980，已公开POC。已认证用户可通过sqlexpression和where参数触发基于错误的SQL注入，获取数据库结构信息。Apache已在6.0.0修复，建议用户尽快升级，并审查日志和用户权限。

本周安全资讯涵盖六项要闻：江苏省发布网络数据安全管理办法草案征求意见；美国推进FCC清单及联网汽车限制立法；CNCERT预警FlyLegit僵尸网络大范围传播；OpenAI与Anthropic拟签互黑协议；Bitget遭窃3.88亿美元源于第三方0Day漏洞；远洋巨轮因网络攻击改航。建议关注政策合规与漏洞修复。

GitLabAIGateway曝出CVE-2026-90970严重漏洞，CVSS评分9.9。认证用户可利用CustomFlow的PromptTemplate沙箱逃逸执行任意命令，主要影响Self-HostedAIGateway。官方已发布修复版本19.2.4、19.3.2和19.4.1，建议立即升级并检查敏感凭据泄露风险。

CVE-2026-94545是Next.js的next/og图像API中的严重远程代码执行漏洞，CVSSv4评分9.5，PoC利用代码已公开。攻击者可通过未认证请求在服务器上执行命令，影响Next.js16.2.0至16.3.5及Satori0.0.27至0.33.5之前版本。建议立即升级至Next.js16.3.6和Satori0.33.5，临时措施包括切换Edge运行时或移除sharp，并限制出站流量。

研究人员发布shieldcrash概念验证，声称可绕过微软对CVE-2026-69414的修复，在已打补丁的Windows系统上以系统权限任意读取文件。该漏洞影响Defender组件，可能泄露配置、凭据等敏感数据。目前微软未证实，防御者应监控可疑活动并保持更新。

文档以图文形式记录了SRC漏洞挖掘者的日常状态，从提交漏洞、等待审核到审核结束后的放松，以及充值token余额不足等细节，整体偏娱乐化，缺乏实质技术内容与深度分析，可操作性建议较少。

文章揭示了一条从Twitch聊天消息到OBS主播电脑完全控制的攻击链：存在漏洞的聊天叠加层将观众消息渲染为原始HTML导致XSS，结合OBS内置Chromium禁用沙盒及存在CVE-2024-7971漏洞的V8引擎，最终实现远程代码执行。作者构建了完整利用链并演示于默认配置，强调加载不受信任网页内容的风险，建议升级浏览器并启用沙盒，同时提醒插件勿将观众内容渲染为HTML。

本文介绍腾讯开源的代码安全指南项目，由腾讯内部安全团队编写，覆盖C/C++、JavaScript、Node.js、Go、Java、Python六种语言的安全编码规范，规则按必须、推荐、建议分级，涵盖内存操作、加密解密等核心安全领域，旨在帮助开发者在开发阶段源头规避安全漏洞，提升代码安全质量。

cPanel与WHM于2026年9月29日修复3个严重漏洞，其中CVE-2026-93698为Multilangadminbin命令执行漏洞，CVSS评分9.9，可导致攻击者以Root权限执行任意代码；另两个为存储型XSS漏洞，可劫持WHM管理员会话。建议管理员立即升级至最新修复版本，限制WHM管理端口公网访问并强制MFA，同时检查入侵痕迹。

本文分享了edu漏洞挖掘实战思路，涵盖信息收集技巧、文件上传漏洞、未授权访问及支付逻辑漏洞挖掘过程。作者通过微信小程序搜索目标资产，发现文件上传接口并成功上传存储型XSS；通过反编译小程序提取敏感信息路径，发现未授权访问接口；在财务系统测试中发现支付金额可篡改的支付逻辑漏洞。文章提供了具体操作方法和工具推荐，对渗透测试人员具有参考价值。